Der Schweizer Verschlüsselungsanbieter Proton steht in der Kritik, weil Firmenchef Andy Yen intern Sicherheitstests als Bremse abgetan hat. Nutzer kündigen ihre Abonnements, das Unternehmen verteidigt öffentlich seinen Umbau zur KI-gestützten Softwareentwicklung. Für Banken und Asset Manager stellt sich eine Frage, die über Proton hinausreicht: Wie prüft man Anbieter, deren Code zunehmend Maschinen schreiben?
Was intern geschah
Den Anstoß gab eine Recherche von 404 Media, die am 29. Oktober 2026 erschien. Ihr zufolge bat ein Mitarbeiter Ende August um einige Tage für Penetrationstests neuen Codes vor der Freigabe. Yen nannte das im Sicherheitskanal „loser thinking“ und forderte mehr KI-Einsatz. Proton bestritt die Darstellung gegenüber dem Medium nicht.
Laut demselben Bericht sagte Technikchef Bart Butler in einem Meeting, im Oktober habe KI rund 90 Prozent des Codes geschrieben. Ein internes Dokument begründet den Druck mit dem Umsatz: Proton verfehle sein Jahresziel für wiederkehrende Erlöse. Gespräche, in denen Beschäftigte ihre KI-Nutzung erklären sollten, sagte Yen am 30. Oktober ab.
Wie Proton die neue Linie begründet
Am 1. November veröffentlichte Butler sein internes Engineering-Manifest im Firmenblog. Darin beschreibt er Entwickler als Leiter von Modellen und Agenten, die selbst kaum noch Code schreiben. Langfristig soll auch der größte Teil der menschlichen Code-Reviews entfallen. Wer die Umstellung verzögere, gefährde nach seiner Darstellung die Mission des Unternehmens.
Zugleich betont das Papier, dass Dokumentation, Tests und Fachwissen unverzichtbar bleiben. Auf Details zur Sicherheit geht es nach Butlers eigener Vorbemerkung nicht ein. Nach einem Bericht von TechRadar sagte Proton auf X zu, KI nie zulasten der Sicherheit einzusetzen. Dort schloss das Unternehmen auch Stellenabbau wegen KI aus und kündigte an, seine Code- und Sicherheitsreviews offenzulegen.
Was der Fall für die Anbieterprüfung bedeutet
Proton verkauft Vertrauen, auch an Geschäftskunden. Der Fall zeigt, dass Zertifikate und Verschlüsselungsversprechen wenig über die laufende Entwicklungspraxis aussagen. Für beaufsichtigte Finanzunternehmen ist das kein Randthema. Die DORA-Verordnung verlangt seit Januar 2025 ein Management der Risiken aus IKT-Drittdienstleistern.
Nach Einschätzung von altii werden Due-Diligence-Fragebögen die Rolle generativer KI in der Softwareentwicklung künftig gezielt abfragen. Relevant sind der Anteil maschinell erzeugten Codes, verbleibende menschliche Prüfungen und Penetrationstests vor Releases. Ebenso zählt, ob Mitarbeiter Sicherheitsbedenken offen äußern können. Eine Kultur, in der Einwände als Schwäche gelten, ist selbst ein operatives Risiko.
Lehrreich ist der Fall auch für Investoren in Softwareunternehmen. Er zeigt, wie Wachstumsdruck Entwicklungsprozesse verändern kann, bevor Kunden davon erfahren. Sichtbar wurde die Verschiebung hier erst durch eine Recherche und die Reaktion der Nutzer.
Offen ist, ob Proton die angekündigte Offenlegung seiner Review-Prozesse liefert und wie belastbar sie ausfällt. Daran wird sich zeigen, ob schnelle KI-Entwicklung und nachweisbare Sicherheit zusammengehen. Für Kunden ist diese Dokumentation aussagekräftiger als jede öffentliche Zusage.
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.